En tant qu’être humain, on se sent instinctivement plus autonomes lorsque l’on opère dans son propre environnement (par exemple son logement) par opposition au bureau. Dans certains cas, cela peut conduire à des comportements à risque – pas toujours liés à une intention malveillante. Par exemple, un employé peut penser qu’il est plus facile de copier des données sur un support USB ou imprimer des documents confidentiels. Les modèles de détection intéressants sont alors le « Data Exfiltration after Data Staging » et le « Multiple DLP events by User », ainsi que beaucoup d’autres qui viendraient compléter l’investigation. Dans la suite de cet article, nous démontrerons comment la source de données DLP (Data Loss Prevention) va être utilisée pour détecter ce type de comportement.
Observons l’approche d’implémentation des détections pertinentes au travers du prisme de l’un des frameworks de cyber sécurité les plus utilisés : MITRE ATT&CK.
L’une des tactiques définies dans ce framework est « l’Exfiltration » (TA0010). En se référant à MITRE, « l’Exfiltration est constituée de techniques que l’adversaire peut utiliser pour voler des données depuis votre réseau ». Il y a 10 techniques définies dans la catégorie « Exfiltration » allant de « l’Exfiltration automatisée » jusqu’au « Transfert de données vers un compte Cloud ». Splunk Security Essentials fournit tous les guides sécurité et les contenus appropriés pour vous permettre de bien démarrer.
Il y a 28 modèles de détection au total, mais concentrons-nous sur deux dans l’immédiat.
Comme énoncé, cela est très utile pour la détection des applications et services Cloud qui n’ont pas été utilisés auparavant. Néanmoins, il est important de savoir que de basculer en mode télétravail peut induire des changements et il devient nécessaire d’adapter les seuils de détection.
Ceci est axé sur la copie de fichiers sur un support USB. Une nouvelle fois, une attention particulière doit être accordée au nouveau mode de travail en adaptant les seuils de détections.
Par ailleurs, lorsqu’il existe une politique bannissant l’usage des supports USB clairement définie, il est sûrement nécessaire d’être alerté avec des seuils plus bas.
Cliquez ici pour accéder à des guides pratiques présentant comment sécuriser votre entreprise dans cette nouvelle ère du télétravail.
Remerciements aux contributeurs de cet article de blog : Bryan Sadowski, Lily Lee, Rene Aguero, James Brodsky, Chris Simmons, Lionel Gonzalez et Jérôme Chagnoux.
*Cet article est une traduction de celui initialement publié sur le blog Splunk anglais.
La plateforme Splunk élimine les obstacles qui séparent les données de l'action, pour donner aux équipes d'observabilité, d'IT et de sécurité les moyens de préserver la sécurité, la résilience et le pouvoir d'innovation de leur organisation.
Fondée en 2003, Splunk est une entreprise internationale. Ses plus de 7 500 employés, les Splunkers, ont déjà obtenu plus de 1 020 brevets à ce jour, et ses solutions sont disponibles dans 21 régions du monde. Ouverte et extensible, la plateforme de données Splunk prend en charge les données de tous les environnements pour donner à toutes les équipes d'une entreprise une visibilité complète et contextualisée sur l'ensemble des interactions et des processus métier. Splunk, une base solide pour vos données.